Qué es y cuándo entra en vigencia
La Ley 21.719 es la nueva normativa de protección de datos personales de Chile. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Reemplaza a la antigua Ley 19.628, que había quedado corta frente a la realidad digital: recopilación masiva de datos, plataformas web, comercio electrónico.
Su objetivo es alinear a Chile con estándares internacionales (el referente es el reglamento europeo GDPR) y devolverle a cada persona el control sobre su información. En la práctica, significa que tratar datos personales de otros ya no es libre: requiere una base legal y respeta un conjunto de derechos de las personas.
Qué cambia respecto a la Ley 19.628
El salto es grande. La ley anterior reconocía derechos, pero no tenía «dientes»: no existía una autoridad que fiscalizara ni sanciones significativas. La 21.719 cambia eso. Esto es lo nuevo:
- Una Agencia de Protección de Datos Personales (APDP), autoridad de control independiente con poder real de fiscalizar y sancionar.
- Los derechos ARCO completos (acceso, rectificación, cancelación, oposición) más el de portabilidad.
- Notificación obligatoria de brechas de seguridad, en un plazo de 72 horas.
- Multas de hasta 20.000 UTM, con topes que pueden llegar a un porcentaje de los ingresos anuales en reincidencia.
- Reglas más estrictas sobre el consentimiento y sobre los datos sensibles.
La nueva Agencia de Protección de Datos
La pieza central es la Agencia de Protección de Datos Personales (APDP). Por primera vez Chile tiene una autoridad especializada, independiente, con facultades para investigar, fiscalizar y aplicar sanciones. Antes, si una empresa trataba mal tus datos, prácticamente no había a quién reclamar con efecto real. Ahora la APDP es ese organismo, y su sola existencia cambia el incentivo: cumplir deja de ser opcional.
Los derechos ARCO (y portabilidad)
La ley le da a cada persona un conjunto de derechos concretos sobre sus datos, conocidos por la sigla ARCO, más la portabilidad:
| Derecho | Qué permite |
|---|---|
| Acceso | Saber qué datos tuyos tiene una organización |
| Rectificación | Corregir datos incorrectos o desactualizados |
| Cancelación | Pedir que eliminen tus datos cuando no hay base legal |
| Oposición | Negarte a que tus datos se usen para ciertos fines |
| Portabilidad | Llevarte tus datos de un servicio a otro |
En términos prácticos, si un sitio publica o usa tus datos personales sin justificación, puedes ejercer el derecho de cancelación para que los eliminen, y reclamar ante la Agencia si no cumplen.
Las multas: por qué las empresas se toman esto en serio
Lo que le da fuerza a la ley es el bolsillo. Las infracciones más graves pueden llegar a 20.000 UTM, que a valores de 2026 equivalen a alrededor de $1.400 millones. En caso de reincidencia, la multa puede triplicarse, y para las empresas más grandes puede escalar a un porcentaje de sus ingresos anuales por ventas y servicios.
Ese régimen sancionatorio es precisamente lo que faltaba en la ley anterior, y es la razón por la que la 21.719 obligó a miles de organizaciones a revisar cómo recopilan, guardan y publican datos personales antes de diciembre de 2026.
Con la ley anterior, tratar mal los datos rara vez tenía consecuencias. Con la 21.719, hay una agencia que fiscaliza y multas que duelen. El incentivo se invirtió: ahora conviene cumplir.
A quién afecta
A toda organización, pública o privada, que trate datos personales en Chile, sin importar su tamaño. Una multinacional y una pyme que guarda la lista de sus clientes están igualmente obligadas a respetar la ley. Lo que varía según el tamaño es el tope de las multas en los casos más severos, pero el deber de cumplir es universal.
Esto incluye, muy en particular, a los sitios web que recopilan o publican información de personas: desde un comercio electrónico hasta las plataformas que ofrecen «buscar datos por nombre o por RUT». Estas últimas son, de hecho, uno de los focos naturales de la ley.
Cómo impacta las consultas de RUT
Aquí está el punto que más nos interesa. La ley hace crucial distinguir dos mundos que a veces se confunden: los datos públicos de empresas y los datos personales de individuos.
Consultar la situación tributaria de una empresa por su RUT sigue siendo legal, porque esa información es pública por decisión del propio Estado: el SII la expone para que cualquiera pueda verificar a un contribuyente. En cambio, publicar o buscar el nombre, RUT, domicilio o teléfono de una persona natural sin base legal es exactamente el tipo de tratamiento que la ley restringe, y que puede acarrear las multas descritas.
Cómo se prepara una organización
Para las empresas y sitios que tratan datos, cumplir la Ley 21.719 no es un trámite único sino un cambio de hábitos. Las medidas típicas que adopta una organización responsable son:
- Inventariar los datos: saber qué datos personales tiene, dónde y para qué.
- Definir la base legal de cada tratamiento: consentimiento, contrato, obligación legal, etc.
- Habilitar los derechos ARCO: un canal claro para que las personas accedan, corrijan u obtengan la eliminación de sus datos.
- Proteger la información: medidas de seguridad para evitar brechas, y un plan para notificarlas en 72 horas si ocurren.
- Revisar qué se publica: especialmente en sitios web, dejar de exponer datos personales que no tengan base legal.
Este último punto es el que más afecta a los buscadores de datos: muchos tuvieron que replantear qué información mostraban antes de la entrada en vigencia. Los que solo trabajan con datos públicos de empresas y funciones sin datos personales quedaron, por diseño, del lado correcto de la ley.
Datos de empresa vs. datos de personas
La distinción se puede resumir así:
| Aspecto | Datos de empresa | Datos de persona natural |
|---|---|---|
| Ejemplos | Razón social, giro, situación tributaria | Nombre, domicilio, teléfono |
| ¿Son públicos? | Sí, por decisión legal (SII) | No; están protegidos |
| ¿Se pueden consultar? | Sí, libremente | Solo con base legal y por vías oficiales |
Por eso nuestras herramientas se concentran en lo que es legalmente consultable: la información pública de empresas y funciones que no exponen datos personales, como validar un RUT o generar RUT de prueba. Los datos personales de individuos se tramitan por las vías oficiales, no por buscadores abiertos. Ese enfoque, además de responsable, es el que la Ley 21.719 vuelve obligatorio.
Preguntas frecuentes
¿La Ley 21.719 prohíbe consultar el RUT de una empresa?
No. Los datos tributarios públicos de las empresas (razón social, giro, situación tributaria) siguen siendo consultables, porque son información pública por decisión legal. Lo que la ley protege con fuerza son los datos personales de individuos, que necesitan una base legal para tratarse.
¿Puedo pedir que eliminen mis datos personales de un sitio?
Sí. La ley reconoce el derecho de cancelación (eliminación) dentro de los derechos ARCO. Puedes solicitar que un responsable elimine tus datos cuando los trata sin una base legal válida, y a partir de la vigencia de la ley existe una agencia ante la cual reclamar si no cumplen.
¿Desde cuándo rige la ley?
La Ley 21.719 se publicó el 13 de diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026. Ese plazo dio tiempo a las organizaciones para adaptarse a las nuevas obligaciones antes de que empiecen las sanciones.
¿Reemplaza a la Ley 19.628?
Sí. La 21.719 moderniza y reemplaza el marco de la antigua Ley 19.628, que había quedado desactualizada. El cambio más importante es que ahora existe una autoridad de control con poder real de fiscalizar y sancionar, algo que la ley anterior no tenía.
¿Afecta a las pequeñas empresas o solo a las grandes?
Afecta a toda organización, pública o privada, que trate datos personales, sin importar su tamaño. Una pyme que guarda datos de clientes también debe cumplir. Lo que cambia según el tamaño es el tope de las multas en los casos más graves.